AI 破甲是什么：DeepSeek Harness 里破甲咒语、提示词与模型侧防护的三层关系

AI 破甲被说成「念咒语」，是因为它看起来像一句话就能改变结果。 实际起作用的不是那句话本身，而是词、提示词与模型防护三层的组合。

为什么叫「咒语」

这个比喻来自传播方式，不是技术机制。 社区把一段看起来有效的提示词片段叫咒语，强调「照念就灵」的错觉。

错觉的来源是幸存者偏差。 成功案例被反复转发，失败案例很少被记录；看多了，就会以为存在通用口令。

咒语不是口令。 它没有固定语法与校验，效果取决于上下文、版本与宿主策略；换一个环境，结果可能完全相反。

三层结构：词、提示词、模型防护

把三者分开，才能理解为什么咒语时灵时不灵。

词是最小单位。 单独一个词不构成任务，模型不会因为它改变判断；它必须嵌进提示词里。

提示词决定结构。 角色、任务、约束与输出的组织方式，影响模型如何理解请求；结构冲突时，模型会优先遵守更明确的约束。

模型防护是独立的一层。 它不读你的「咒语」，只判断请求本身；提示词写得再巧，也不能改变模型的判断（来源）。

咒语、提示词与防护的关系

三者不是叠加关系，而是「影响与被影响」。

1. 咒语影响提示词。 它改变措辞与结构，让请求看起来不同。
2. 提示词影响模型输入。 它决定模型看到什么、按什么顺序看。
3. 模型防护做最终判断。 无论前面怎么组织，模型仍会判断请求是否可执行。
4. 宿主还会插一层。 DeepSeek Harness 的权限与策略可能在请求前后拦截。
5. 四层都通过，才得到结果。

越往后越难影响。 改词容易，改提示词结构中等，改模型防护基本不可能；把精力放在最外层，收益有限。

宿主层最容易被忽略。 请求根本没送到模型时，改多少咒语都没用；先看日志有没有拦截记录。

为什么照抄咒语没用

四个原因，决定了照抄的命中率越来越低。

1. 上下文不同。 别人有铺垫，你没有；压缩后前文丢失，效果自然不同。
2. 版本不同。 模型与宿主都在更新，旧片段可能已被识别或不再适用。
3. 入口不同。 命令行、网页、桌面端的策略可能不同；一个入口有效，另一个未必。
4. 任务不同。 咒语绑定的是特定任务，换任务就失去结构支撑。

四个原因的共同点是「条件不可复制」。 你复制的是文本，复制不了上下文、版本与策略。

对照实验能验证。 去掉咒语、其他不变，再跑一次；结果无差别，说明起作用的是任务本身。

三个常见误区

关于 AI 破甲，三个误区流传最广。

1. 「有通用咒语」。 没有；有效片段都绑定条件，换环境就失效。
2. 「词越长越强」。 长片段增加冲突点，压缩后更容易失效。
3. 「装插件就能绕过」。 插件影响宿主侧组装，不改变模型防护。

误区的共同点是「把条件当成文本」。 咒语只是文本，条件是上下文、版本与策略；缺了条件，文本没有意义。

把误区反过来，就是判断顺序： 先看层，再看条件，最后才看文本。

合规评估怎么用

讨论 AI 破甲的正当场景是安全评估，不是日常使用。

1. 限定环境： 自有或授权实例，隔离真实用户流量。
2. 记录结构： 记录触发条件、层级与影响，不记录可复用的完整话术。
3. 验证修复： 评估结果用于加固，修复后复测同一条件。
4. 遵守条款： 服务条款禁止的用途，不因「研究」而变得允许（来源）。

评估产出是问题清单，不是咒语库。 一份好报告写清触发条件与修复建议，而不是收集更多片段。

边界清楚，讨论才有意义。 把 AI 破甲当技术现象分析，可以；把它当绕过手册使用，就超出了范围。

下一步

先分层，再判断条件，最后才看文本。 想看三个中文术语的区别，看《破甲、破限、越狱有什么区别》；想看词层面的失效信号，看《deepseek破甲 词怎么写》；想看分层判据，看《deepseek jailbreak 为什么越来越难生效》。

来源：DeepSeek Harness 官方文档、DeepSeek 服务条款、deepseek-harness 仓库